Keycloak 26.2.5服务账号权限异常：Realm管理403问题求助

问题现象 #

• 创建了名为ntrcpt_service的客户端，启用「Service account roles」并为其服务账号分配了admin角色
• 服务账号可正常完成认证，也能通过API创建新Realm（如acme.com），但在同一会话中调用Keycloak REST API获取该Realm时返回信息有限；发起PUT请求更新Realm时，收到403 Forbidden错误
• 使用拥有相同admin角色的普通用户账号ntrcpt_admin执行相同操作，可正常获取完整Realm信息且PUT请求成功

客户端配置 #

{
  "clientId": "ntrcpt_service",
  "name": "",
  "description": "",
  "rootUrl": "",
  "adminUrl": "",
  "baseUrl": "",
  "surrogateAuthRequired": false,
  "enabled": true,
  "alwaysDisplayInConsole": false,
  "clientAuthenticatorType": "client-secret",
  "secret": "**********************",
  "redirectUris": [],
  "webOrigins": [],
  "notBefore": 0,
  "bearerOnly": false,
  "consentRequired": false,
  "standardFlowEnabled": false,
  "implicitFlowEnabled": false,
  "directAccessGrantsEnabled": false,
  "serviceAccountsEnabled": true,
  "publicClient": false,
  "frontchannelLogout": false,
  "protocol": "openid-connect",
  "attributes": {
    "realm_client": "false",
    "ntrcpt.created_at": "2025-05-29 15:10:11.151074 UTC",
    "oidc.ciba.grant.enabled": "false",
    "backchannel.logout.session.required": "true",
    "standard.token.exchange.enabled": "false",
    "ntrcpt.schema_version": "0",
    "ntrcpt.updated_at": "2025-05-29 15:10:11.194012 UTC",
    "ntrcpt.tenant_id": "e832ad64-e561-464f-84a2-7b7d68768f11",
    "oauth2.device.authorization.grant.enabled": "false",
    "display.on.consent.screen": "false",
    "ntrcpt.sub": "1527d088-f6cd-48e5-acbd-7ec2df6fa5d9",
    "backchannel.logout.revoke.offline.tokens": "false"
  },
  "authenticationFlowBindingOverrides": {},
  "fullScopeAllowed": true,
  "nodeReRegistrationTimeout": -1,
  "defaultClientScopes": [
    "service_account",
    "web-origins",
    "acr",
    "roles",
    "profile",
    "client_uuid",
    "basic",
    "email"
  ],
  "optionalClientScopes": [
    "address",
    "phone",
    "organization",
    "offline_access",
    "microprofile-jwt"
  ],
  "access": {
    "view": true,
    "configure": true,
    "manage": true
  }
}

服务账号角色 #

服务账号已分配admin角色（角色配置截图显示权限正确）

PUT请求详情 #

URL: http://localhost:8080/admin/realms/test_21498
Method: PUT
Status: 403 Forbidden
Timestamp: 2025-05-29T16:50:26.339Z

Request Headers:
Content-Type: application/json
Authorization: Bearer ***************
Accept: */*
Host: localhost:8080
Content-Length: 244

Request Body:
{
  "realm": "test_21498",
  "enabled": true
}

Response Headers:
Content-Length: 30
Connection: close
Content-Type: application/json
Referrer-Policy: no-referrer
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN

Response Body:
{
  "error": "HTTP 403 Forbidden"
}

排查建议 #

1. 检查角色作用域：确认admin角色是全局级别的，而非仅绑定到某个特定Realm。服务账号的权限需要覆盖所有Realm（包括新创建的），否则对新Realm无修改权限。
2. 解码验证Token权限：解析服务账号获取的JWT Token，检查realm_access.roles是否包含admin，同时查看resource_access字段是否有正确的管理权限映射。普通用户的Token可能包含完整全局权限，而服务账号可能因作用域限制缺失部分权限。
3. 确认客户端权限范围：尽管当前fullScopeAllowed设为true，仍需检查是否存在其他客户端范围限制，比如是否移除了必要的管理类权限范围。
4. 检查Keycloak版本差异：部分Keycloak版本中，服务账号与普通用户的权限模型存在差异，需确认是否存在版本特定的权限限制（比如服务账号默认无法修改Realm核心属性）。
5. 尝试分配细分权限：除全局admin角色外，给服务账号显式分配目标Realm的manage-realm、view-realm等细分权限，测试是否能解决问题。

内容的提问来源于stack exchange，提问作者Ron Slosberg